La soberanía operativa es la capacidad de seguir operando — acceder a los datos, ejecutar los sistemas, prestar los procesos — independientemente de las decisiones de terceros fuera de tu control. No se mide por dónde está el servidor, sino por quién puede interrumpir, leer o condicionar tus procesos. Y se puede medir de verdad: con cinco pruebas, una por dependencia crítica.
01¿Qué es la soberanía operativa?
Definición de trabajo, la que usamos con los clientes: la soberanía operativa es la capacidad de una organización de seguir operando independientemente de las decisiones de terceros que no controla. Un proveedor que duplica el precio o cambia las condiciones de uso. Una jurisdicción extra-UE que ordena el acceso a los datos. Una sanción, un embargo, una decisión política que apaga un servicio. Si uno de estos eventos detiene un proceso crítico tuyo, ese proceso no es soberano — diga lo que diga el folleto.
La distinción que hay que mantener firme es la que separa la residencia de los datos de la soberanía. La residencia responde a "dónde está el servidor"; la soberanía responde a "quién puede obligar al proveedor, quién puede leer los datos, cuánto me cuesta salir". La primera es geografía. La segunda es control. Y tampoco es la "soberanía digital" de los congresos: es una propiedad operativa, que o se demuestra con evidencias — contratos, arquitecturas, tiempos de salida — o no existe.
02¿Por qué no basta con "un centro de datos en Europa"?
Porque la jurisdicción sigue a la empresa, no al servidor. El CLOUD Act estadounidense (2018) dejó explícito que los proveedores sujetos a jurisdicción de EE. UU. deben conservar y entregar los datos en su posesión, custodia o control independientemente de dónde estén almacenados (US DoJ, CLOUD Act Resources; Congressional Research Service, R45173). Un centro de datos en Fráncfort operado por una empresa americana responde ante Washington antes que ante Bruselas. Ya en julio de 2019 el EDPB y el SEPD, en la evaluación conjunta solicitada por el Parlamento Europeo, señalaron que este alcance extraterritorial puede colocar a los proveedores en un conflicto de leyes con el RGPD (EDPB-SEPD, respuesta conjunta a la comisión LIBE, 2019).
Durante años la respuesta de los proveedores fue "nunca ha pasado, y resistimos las solicitudes". Luego llegó el momento en que la pregunta se hizo bajo juramento. El 10 de junio de 2025, ante la comisión de investigación del Senado francés sobre contratación pública y soberanía digital, al director de asuntos públicos y legales de Microsoft France se le preguntó si podía garantizar que los datos de los ciudadanos franceses nunca serían transmitidos a las autoridades estadounidenses sin el acuerdo de las autoridades francesas. La respuesta: no puedo garantizarlo (ActuIA, audiencia en el Senado francés, junio de 2025). No es un escándalo: es la ley americana funcionando como está diseñada. El escándalo es seguir llamando "soberano" a lo que no lo es. El mecanismo contractual lo desmontamos pieza a pieza en el Cloud Act explicado a un CFO.
03¿Cuánto depende Europa de la nube extra-UE?
Los números describen una dependencia estructural, no un detalle. Según Synergy Research Group, Amazon, Microsoft y Google suman alrededor del 70% del mercado europeo de la nube, mientras que la cuota de los proveedores europeos en su propio mercado ha caído del 29% de 2017 al 15%, donde permanece estancada desde 2022 — con los primeros actores locales, SAP y Deutsche Telekom, en el 2% cada uno. Todo ello en un mercado que en 2024 valía 61 000 millones de euros y crece a doble dígito (Synergy Research Group, julio de 2025).
La cuestión no es que los tres hyperscalers sean malos proveedores: es que una dependencia del 70% de tres empresas sujetas a la misma jurisdicción extra-UE es un punto único de fallo — técnico, contractual y geopolítico. Lo ha puesto por escrito la propia Comisión Europea: la propuesta de Cloud and AI Development Act presentada el 3 de junio de 2026, pieza central del paquete de soberanía tecnológica, declara que la dependencia excesiva de proveedores de nube no-UE «plantea un riesgo significativo para la autonomía digital y la resiliencia de Europa» y aspira a triplicar la capacidad de centros de datos de la UE en 5-7 años (Comisión Europea, CADA, junio de 2026). La propuesta está al inicio del procedimiento legislativo: dará frutos dentro de años. Tu exposición, en cambio, existe hoy.
04¿Cómo se mide la soberanía operativa? Las cinco pruebas
La soberanía no es un adjetivo de pliego de condiciones: es una propiedad verificable. Para cada proveedor crítico — nube, SaaS de gestión, IA, correo — aplica cinco pruebas. Cada respuesta debe ser una evidencia documentable, no una opinión.
- 1. Prueba de jurisdicción. ¿Qué leyes extra-UE alcanzan al proveedor? No mires la sede de la filial que firma el contrato: mira la matriz y quién controla los datos. Si la cadena societaria llega a una jurisdicción con obligaciones extraterritoriales (Cloud Act, FISA 702), esa ley llega a tus datos.
- 2. Prueba de las claves. ¿Quién puede técnicamente leer los datos? Cifrado "at rest" con claves custodiadas por el proveedor significa que el proveedor puede leer — y por tanto entregar. Soberano es solo lo que está cifrado con claves que custodias tú, o lo que corre sobre infraestructura tuya.
- 3. Prueba de salida. ¿Cuánto cuesta y cuántos días se tarda en migrar — a otro proveedor o a on-premise? Datos exportables en formatos abiertos, procedimientos ensayados, costes conocidos. Si nunca has ensayado la salida, no tienes un plan de salida: tienes una esperanza.
- 4. Prueba de continuidad. Si mañana el proveedor duplica el precio, cambia las condiciones o queda bloqueado por una decisión tomada en otro lugar: ¿qué procesos se detienen, y durante cuánto tiempo? La respuesta es una lista de procesos con tiempos, no un juicio de probabilidad.
- 5. Prueba de competencia. ¿Puede el proceso funcionar sin el proveedor? Personas, documentación, alternativas ensayadas. La dependencia más profunda no está en el contrato: está en ya no saber prescindir de alguien.
05¿Qué cambia con el Data Act (y qué no)?
En la prueba de salida, Europa acaba de inclinar la balanza a favor del cliente. El Data Act (Reglamento UE 2023/2854), aplicable desde el 12 de septiembre de 2025, da a los clientes de servicios de tratamiento de datos — IaaS, PaaS, SaaS — el derecho a cambiar de proveedor con un preaviso máximo de dos meses y un periodo de transición de 30 días, e incluye explícitamente el derecho a llevar datos y activos digitales de vuelta a infraestructura on-premise (Comisión Europea, Data Act; EUR-Lex, Reg. UE 2023/2854). Sobre los costes, dos fechas: desde septiembre de 2025 las switching charges deben limitarse a los costes efectivamente soportados; desde el 12 de enero de 2027 quedan prohibidas por completo.
Lo que el Data Act no hace: no convierte el derecho de salida en capacidad de salida. El reglamento cubre los "datos exportables" — no las competencias, no la arquitectura que mientras tanto has construido alrededor de los servicios propietarios del proveedor, no los modelos de IA entrenados dentro de una plataforma cerrada. Y no toca la prueba de jurisdicción: puedes cambiar de hyperscaler en 30 días y seguir exactamente bajo la misma ley extraterritorial de antes. El Data Act abarata la puerta. Cruzarla — y elegir adónde lleva — sigue siendo un trabajo de arquitectura.
06Por dónde empezar, en concreto
No por un position paper: por un mapa de dependencias. Una hoja con tres columnas — proceso crítico, proveedor, jurisdicción — y las cinco pruebas aplicadas a cada fila. Es el mismo método que usamos para NIS2 y DORA: primero la fotografía, luego las decisiones. De ahí salen las prioridades reales: los procesos donde hace falta on-premise (datos críticos, claves, IA sobre datos sensibles — el caso de la IA sin vendor lock-in), aquellos donde basta un proveedor EU-hosted con claves tuyas, y aquellos donde el lock-in es aceptable porque la salida está ensayada y cuesta poco.
Es el principio sobre el que está construida nuestra página de soberanía operativa y toda la línea de productos P3: software soberano, on-premise o EU-hosted, sin lock-in por diseño. Si quieres partir de la fotografía — red, datos, proveedores, jurisdicciones — el primer paso es una auditoría on-prem de siete días. Para hablar de tu caso, escríbenos.